-
Die Erfindung betrifft ein Verfahren zur sicheren Kommunikation mit einem Feldmessgerät der Prozessmesstechnik, wobei das Feldmessgerät einen Sensor, eine Auswerteeinheit, eine Feldbusschnittstelle und eine Kommunikationsschnittstelle aufweist, wobei von dem Feldmessgerät erfasste und bereitgestellte Messdaten über die Feldbusschnittstelle an andere Busteilnehmer übermittelt werden, und wobei ein externes Kommunikationsmittel über die Kommunikationsschnittstelle von extern auf von den Messdaten verschiedene informationstechnische Inhalte des Feldmessgeräts zugreift. Darüber hinaus betrifft die Erfindung auch ein Feldmessgerät der Prozessmesstechnik mit einem Sensor, einer Auswerteeinheit, einer Feldbusschnittstelle und einer Kommunikationsschnittstelle, wobei von dem Feldmessgerät erfasste und bereitgestellte Messdaten über die Feldbusschnittstelle an andere Busteilnehmer übermittelt werden und wobei von extern auf von den Messdaten verschiedene informationstechnische Inhalte des Feldmessgeräts für ein externes Kommunikationsmittel über die Kommunikationsschnittstelle zugreifbar sind.
-
Feldmessgeräte der Prozesstechnik werden seit vielen Jahrzehnten in der Automatisierungstechnik zur Messwerterfassung in industriellen Prozessen eingesetzt. Die Feldmessgeräte erfassen messtechnisch über ihre Sensoren Prozessgrößen, bereiten die Rohmessdaten mit der Auswerteeinheit in eine zu übermittelnde Messgröße auf und übertragen diese Messgröße an andere Busteilnehmer, bei denen es sich ebenfalls um Feldgeräte bzw. Feldmessgeräte oder auch um ein übergeordnetes Prozessleitsystem handeln kann. Die Messgeräte arbeiten „im Feld“, sie sind im Regelfall sehr robust und störsicher ausgelegt, da sie allen Widrigkeiten des industriellen Prozesses ausgesetzt sind, teilweise werden sie im Freien eingesetzt, es liegen üblicherweise also keine „Laborbedingungen“ vor.
-
Zur Übermittlung der Messdaten bedient sich das hier betrachtete Feldmessgerät einer Feldbusschnittstelle, die ein etabliertes Protokoll realisiert. Zu den etablierten Feldbusschnittstellen gehören beispielsweise die seit Jahrzehnten eingesetzte analoge 4-20 mA-Schnittstelle oder auch die digitale HART-Schnittstelle. Als physikalisches Übertragungsmedium dient in diesein Fall oft eine 2-Leiter-Anordnung, wobei dem analogen Stromsignal der Stromschnittstelle das digitale Signal des HART-Protokolls aufmoduliert wird. Feldbusschnittstellen dieser Art realisieren nur vergleichsweise geringe Übertragungsraten, gleichwohl haben sie eine außerordentlich hohe Bestandskraft in der Prozessindustrie, da ihre Zuverlässigkeit nachgewiesen ist und sie als beeinflussungssicher gelten. Über Feldbusschnittstellen kann oft nur in sehr beschränktem Maße auf das Feldmessgerät Einfluss genommen werden, da ein Zugriff auf Funktionalitäten des Prozessmessgeräts, die außerhalb der eigentlichen Übertragung von Messergebnissen liegen, über die Feldbusschnittstelle - absichtlich - überhaupt nicht vorgesehen sind.
-
Sensible und damit zu schützende Funktionalitäten von Feldmessgeräten, die außerhalb des Bereichs der Messdatenübertragung liegen, betreffen beispielsweise die Parametrierung, die Einstellung von Betriebsmodi, Kalibrierungsparameter des Prozessmessgeräts und die Diagnose.
-
Seit einiger Zeit gehen Bestrebungen dahin, die zuvor beschriebenen Feldmessgeräte mit einer - weiteren - Kommunikationsschnittstelle auszustatten, mit der meist modernere Kommunikationstechnologien realisiert werden, sodass höhere Übertragungsraten und moderne Bedienschnittstellen umsetzbar sind. Über diese Kommunikationsschnittstelle sollen im Wesentlichen nichtprozessrelevante Daten ausgetauscht werden, also auf von den Messdaten verschiedene informationstechnische Inhalte des Feldmessgeräts.
-
Gegenstand der vorliegenden Betrachtung sind solche Feldmessgeräte, die neben der Feldbusschnittstelle auch über eine Kommunikationsschnittstelle verfügen, über die es einem externen Kommunikationsmittel möglich ist, auf informationstechnische Inhalte des Feldmessgeräts zuzugreifen, wobei es sich bei diesen informationstechnischen Inhalten nicht um die eigentlichen Messdaten handelt. Es handelt sich also nicht um eine Prozessschnittstelle, über die das Feldmessgerät Messdaten ausgibt.
-
Aufgabe der vorliegenden Erfindung ist es, ein Verfahren zur sicheren Kommunikation mit einem Feldmessgerät der Prozesstechnik und ein entsprechendes Feldmessgerät anzugeben, bei dem mit hoher Sicherheit ein missbräuchlicher Zugriff auf das Feldmessgerät mittels einer Kommunikationsschnittstelle verhindert wird.
-
Die Aufgabe ist bei dem eingangs beschriebenen Verfahren zur sicheren Kommunikation mit einem Feldmessgerät der Prozessmesstechnik zunächst und im Wesentlichen dadurch gelöst, dass das Feldmessgerät mit einem Freigabe-Sensorelement ausgestattet wird. Ferner wird in dem Feldmessgerät eine Mehrzahl an Rechteumfängen hinterlegt, wobei jeder Rechteumfang definiert, in welchem Umfang auf die informationstechnischen Inhalte des Feldmessgeräts zugegriffen werden kann. In dem Feldmessgerät wird eine Mehrzahl öffentlicher Schlüssel einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare gespeichert und jedem öffentlichen Schlüssel wird ein Rechteumfang zugeordnet. In einem Freigabe-Beeinflussungselement wird wenigstens ein privater Schlüssel der korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare gespeichert. Bei Kontaktaufnahme des Freigabe-Beeinflussungselements mit dem Freigabe-Sensorelement authentisiert sich das Freigabe-Beeinflussungselement mittels einer Public-Key Authentifizierung mit dem gespeicherten privaten Schlüssel gegenüber dem Feldmessgerät. Das Feldmessgerät authentifiziert das Freigabe-Beeinflussungselement unter Verwendung eines geeigneten und im Feldmessgerät gespeicherten öffentlichen Schlüssels. Das Feldmessgerät eröffnet dann nach erfolgreicher Authentifizierung eine Bediensitzung, in der dem externen Kommunikationsmittel Zugriff auf die informationstechnischen Inhalte des Feldmessgeräts gewährt wird, und zwar in dem Rechteumfang des öffentlichen Schlüssels, der dem geeigneten privaten Schlüssel des Freigabe-Beeinflussungselements entspricht.
-
Die Aufgabe ist ebenfalls gelöst bei dem eingangs genannten Feldmessgerät, das entsprechend ausgestattet ist, um das vorgenannte Verfahren ausführen zu können. Das Feldmessgerät weist also zunächst zusätzlich ein Freigabe-Sensorelement auf. In dem Feldmessgerät ist eine Mehrzahl an Rechteumfängen hinterlegt, wobei jeder Rechteumfang definiert, in welchem Umfang auf die informationstechnischen Inhalte des Feldmessgeräts zugegriffen werden kann. In dem Feldmessgerät ist eine Mehrzahl öffentlicher Schlüssel einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare gespeichert und jedem öffentlichen Schlüssel ist ein Rechteumfang zugeordnet. In einem Freigabe-Beeinflussungselement ist wenigstens ein privater Schlüssel der korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare gespeichert. Bei Kontaktaufnahme des Freigabe-Beeinflussungselements mit dem Freigabe-Sensorelement authentisiert sich das Freigabe-Beeinflussungselement mittels einer Public-Key Authentifizierung mit dem gespeicherten privaten Schlüssel gegenüber dem Feldmessgerät und das Feldmessgerät authentifiziert das Freigabe-Beeinflussungselement unter Verwendung eines geeigneten und im Feldmessgerät gespeicherten öffentlichen Schlüssels. Nach erfolgreicher Authentifizierung eröffnet das Feldgerät eine Bediensitzung, in der dem externen Kommunikationsmittel Zugriff auf die informationstechnischen Inhalte des Feldmessgeräts gewährt wird, und zwar in dem Rechteumfang des öffentlichen Schlüssels, der dem geeigneten privaten Schlüssel des Freigabe-Beeinflussungselements entspricht. Anhand der Ausführungen ist erkennbar, dass das Freigabe-Beeinflussungselement funktional zu dem Feldmessgerät gehört, selbst wenn das Freigabe-Beeinflussungselement körperlich getrennt von der eigentlichen Messvorrichtung, die üblicherweise in einem eigenen Gehäuse untergebracht ist, realisiert ist oder realisiert sein sollte.
-
Bei dem vorliegenden Verfahren und dem vorliegenden Feldmessgerät ist der Rechteumfang, innerhalb dessen auf die informationstechnischen Inhalte des Feldmessgeräts von einem externen Kommunikationsmittel zugegriffen werden kann, an die Verwendung eines geeigneten Schlüssels eines asymmetrischen Schlüsselpaares gekoppelt. Das asymmetrische Schlüsselpaar dient hier nicht dem verschlüsselten Austausch von Nutzdaten zwischen dem Feldmessgerät und dem externen Kommunikationsmittel und es kann dazu auch nicht dienen, weil keiner der Schlüssel auf dem externen Kommunikationsgerät hinterlegt ist. Das asymmetrische Schlüsselpaar wird hier zur Public-Key-Authentifizierung des Freigabe-Beeinflussungselements gegenüber dem Feldmessgerät verwendet.
-
Von grundlegender Bedeutung ist, dass das Feldmessgerät so eingerichtet ist, dass die Möglichkeit und die Erfordernis bestehen, dass sich das Freigabe-Beeinflussungselement gegenüber dem Feldmessgerät durch einen Beitrag - der in Zusammenhang mit dem privaten Schlüssel des Freigabe-Beeinflussungselements steht - authentisiert und es so dem Feldmessgerät möglich ist, das Freigabe-Beeinflussungselement zu authentifizieren. Die Authentifikation - also die Überprüfung der Echtheit des Freigabe-Beeinflussungselements - erfolgt im Feldmessgerät anhand der dort hinterlegten öffentlichen Schlüssel. Ist mit keinem der in dem Feldmessgerät hinterlegten öffentlichen Schlüssel eine Authentifikation des Freigabe-Beeinflussungselements möglich, kann das externe Kommunikationsmittel nicht auf informationstechnische Inhalte des Feldmessgeräts zugreifen, es wird also keine Bediensitzung eröffnet.
-
Bei dem hier beschriebenen Verfahren erfolgt die Freischaltung der Kommunikationsmöglichkeit des Feldmessgerätes mit dem externen Kommunikationsmittel über einen anderen Kanal als die Kommunikation des Feldmessgeräts mit dem externen Kommunikationsmittel. Ersteres geschieht quasi über einen Freischaltkanal, der durch die Kontaktaufnahme zwischen dem Freigabe-Beeinflussungselement und dem Freigabe-Sensorelement errichtet wird. Letzteres erfolgt über die Kommunikationsschnittstelle.
-
Wenn ein privater Schlüssel in dem externen Kommunikationsmittel hinterlegt wäre, was er nicht ist, wäre die Authentifizierung und damit die Freischaltung der Kommunikation im Rahmen eines bestimmten Rechteumfangs immer an das bestimmte externe Kommunikationsmittel gebunden. Die hier vorgeschlagene Lösung, den zur Authentisierung erforderlichen privaten Schlüssel in dem vom Kommunikationsmittel verschiedenen Freigabe-Beeinflussungselement abzulegen, ermöglicht die Verwendung eines beliebigen nutzer- und rechteunabhängigen externen Kommunikationsmittels, wie beispielsweise eines Bediengeräts zur Diagnose und Wartung. Das ist vorteilhaft, weil von jedem Nutzer, unabhängig von dem ihm zugewiesenen Rechteumfang, ein- und dasselbe externe Kommunikationsmittel verwendet werden kann, was üblicherweise ein komplexes und vergleichsweise teures Gerät mit einer Anzeige, einer Eingabe, Hardwareschnittstellen und entsprechenden Gerätefunktionalitäten ist. Das Freigabe-Beeinflussungselement hingegen kann sehr einfach und preiswert aufgebaut sein.
-
Gemäß einer bevorzugten Ausgestaltung des Verfahrens zur sicheren Kommunikation mit einem Feldmessgerät und auch des Feldmessgeräts selbst istdas Freigabe-Sensorelement als RFID-Lesegerät und das Freigabe-Beeinflussungselement als RFID-Transponder ausgestaltet. Vorzugsweise ist das Freigabe-Beeinflussungselement als passiver RFID-Transponder ausgestaltet, d. h. der Transponder erhält seine Energie aus der vom RFID-Lesegerät emittierten elektromagnetischen Strahlung. Auf dem RFID-Transponder wird demnach ein privater Schlüssel oder auch mehrere private Schlüssel der asymmetrischen Schlüsselpaare hinterlegt.
-
Die Asymmetrie des Schlüsselpaares liegt darin, dass der private und der öffentliche Schlüssel verschieden sind und es praktisch unmöglich ist, aus dem öffentlichen Schlüssel eine Umkehrfunktion bzw. den privaten Schlüssel zu berechnen. Das erleichtert insbesondere die Problematik der Schlüsselverteilung, da lediglich die privaten Schlüssel geheim zu halten sind.
-
Bei den informationstechnischen Inhalten des Feldmessgeräts kann es sich sowohl um reine Dateninhalte handeln, wie beispielsweise Parameter und gesetzte Flags, als auch auch um Funktionen, also Algorithmen, die als Argumente Daten verwenden, also mit den Dateninhalten arbeiten.
-
Wenn es heißt, dass sich das Freigabe-Beeinflussungselement mittels einer Public-Key Authentifizierung mit dem gespeicherten privaten Schlüssel gegenüber dem Feldmessgerät authentisiert, dann bedeutet das nicht, dass das Freigabe-Beeinflussungselement seinen privaten Schlüssel oder einen seiner privaten Schlüssel dem Feldmessgerät direkt zur Kenntnis bringt. Die Authentisierung erfolgt bevorzugt so, dass der private Schlüssel des Freigabe-Beeinflussungselements geheim bleibt. Dies kann beispielsweise so funktionieren, dass das Feldmessgerät dem Freigabe-Beeinflussungselement einen Zufallsstring übermittelt, das Freigabe-Beeinflussungselement den Zufallsstring mit seinem privaten Schlüssel verschlüsselt, den verschlüsselten Zufallsstring an das Feldmessgerät übermittelt, wo der verschlüsselten Zufallsstring mit dem öffentlichen Schlüssel des Feldmessgeräts entschlüsselt wird. Bei Übereinstimmung des erzeugten Zufallsstrings mit dem rückübermittelten ver- und entschlüsselten Zufallsstring ist die Authentifizierung gelungen. Ähnlich kann mit signierten Dateninhalten verfahren werden, wobei sich das Freigabe-Beeinflussungselement durch Erstellen einer digitalen Signatur gegenüber dem Feldmessgerät authentisiert. Speziell bei der letzten Variante kann eine sonst häufig verwendete Kennworteingabe entfallen (beispielsweise Eingabe einer Passphrase zur Freigabe eines privaten Schlüssels), eine automatische Authentifizierung ist so möglich.
-
Bei einer bevorzugten Ausbildung des Verfahrens und des Feldmessgeräts ist vorgesehen, dass die Kommunikationsschnittstelle auf dem Bluetooth-Standard beruht. Bei Einsatz dieser Technologie muss das externe Kommunikationsmittel, beispielsweise in Form eines Hand-Bediengeräts, sich in unmittelbarer Nähe zu dem Feldmessgerät befinden. Bei anderen bevorzugten Ausgestaltungen ermöglicht die Kommunikationsschnittstelle die Errichtung eines drahtlosen lokalen Netzwerks (WLAN), die Verwendung einer Infrarot-Verbindung (IR) oder die Etablierung einer Ethernet-Verbindung.
-
Bei einer weiteren Ausgestaltung des erfindungsgemäßen Verfahrens zur sicheren Kommunikation mit einem Feldmessgerät und bei einer weiteren Ausgestaltung des entsprechenden Feldmessgeräts ist vorgesehen, dass ein in dem Feldmessgerät hinterlegter Rechteumfang das Zugriffsrecht auf eine Gruppe der folgenden informationstechnischen Inhalte gestattet: Parameter für die Darstellung von Daten ohne Einfluss auf messtechnische Funktionen, Parameter für die Inbetriebnahme messtechnischer Funktionen, Parameter für die Kalibrierung des Feldmessgeräts, Parameter für Sonderfunktionen und Service und Parameter für die Freischaltung von Sonderfunktionen. Durch eine geeignete Wahl der Rechteumfänge ist es insbesondere möglich, verschiedenen Erfordernissen der Betriebssicherheit Rechnung zu tragen, also beispielsweise Anforderungen, die in Zusammenhang stehen mit der Erreichung eines bestimmten Safety Integrity Level (SIL), Anforderungen in den Bereichen Safety und Security oder einfach Anforderungen hinsichtlich benutzerbezogener Rechte durch Implementierung von Benutzerebenen.
-
Vor diesem Hintergrund ist es einleuchtend, dass das Recht zur Veränderung von Parametern für die Darstellung von Daten ohne Einfluss auf messtechnische Funktionen weniger restriktiv vergeben wird als beispielsweise das Recht für die Veränderung von Parametern für die Kalibrierung des Feldmessgeräts, das nur einem nur sehr beschränkten Personenkreis zu Teil wird, beispielsweise nur bestimmten Stellen beim Hersteller des Feldmessgeräts, der über geeignete Einrichtungen zur Kalibrierung verfügt. So ist es auch sinnvoll, qualifiziertem Service-Personal einen weitreichenderen Zugriff auf informationstechnische Inhalte des Feldmessgeräts einzuräumen, als dies für den reinen Anwender des Feldmessgeräts möglich ist. Eine vorteilhafte Anwendung besteht auch in der Freigabe von Sonderfunktionen, die der Anwender vom Hersteller des Feldmessgeräts nachträglich erworben hat und die sich mithilfe einer entsprechenden Authentifizierung freischalten lassen bzw. automatisch freigeschaltet werden, sobald eine Bediensitzung mit dem entsprechenden Schlüssel gestartet worden ist.
-
Gemäß einer vorteilhaften Ausgestaltung sieht das beanspruchte Verfahren vor, dass in einer Mehrzahl an Feldmessgeräten dieselben Rechteumfänge hinterlegt werden und dieselben öffentlichen Schlüssel einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare gespeichert werden. Durch diese Maßnahme ist es auf besonders einfache Art und Weise möglich, mit einem Freigabe-Beeinflussungselement, das über die entsprechenden privaten Schlüssel verfügt, eine Mehrzahl an Feldmessgeräten für den Zugriff mit einem externen Kommunikationsmittel freizuschalten.
-
Eine besondere Weiterbildung des Verfahrens zeichnet sich dadurch aus, dass die Mehrzahl an Feldmessgeräten zu wenigstens einer der folgenden Messgerätegruppen gehört: Die Messgerätegruppe eines bestimmten Messverfahrens, die Messgerätegruppe eines Feldmessgerätemodells, die Messgerätegruppe der Feldmessgeräte eines bestimmten Benutzers bzw. Eigentümers, die Messgerätegruppe der Feldmessgeräte einer Anlage oder eines Anlagenteils, die Messgerätegruppe der Feldmessgeräte eines bestimmten zeitlichen Produktionsintervalls oder Installationsintervalls. Die vorgenannten Messgerätegruppen bilden im Wesentlichen Zugriffsrechte für unterschiedlich qualifizierte Personengruppen ab. So kann es sinnvoll sein, dass der Zugriff für Servicetechniker, die beispielsweise im Bereich der Durchflussmessgeräte oder der Radarmessgeräte ausgebildet sind, auch auf genau solche Feldmessgeräte beschränkt ist. Möglicherweise ist es auch erforderlich, den Zugriff auf bestimmte Feldmessgerätemodelle einzuschränken, wenn hier besondere Qualifikationen erforderlich sind, beispielsweise im Explosionsschutz. Eine Zugriffbeschränkung auf eine industrielle Anlage oder einen bestimmten industriellen Anlagenteil kann auch sinnvoll sein, wenn klare Verantwortlichkeiten für derartige Bereiche vergeben sind. Genauso erschließen sich Anwendungsfälle für die anderen genannten Messgerätegruppen.
-
Auch die Frage nach der Beendigung einer etablierten Bediensitzung ist wichtig. Bei bevorzugten Ausgestaltungen des Verfahrens und des Feldmessgeräts wird eine Bediensitzung beispielsweise beendet nach der Vornahme einer vorbestimmten Anzahl an Zugriffen auf die informationstechnischen Inhalte des Feldmessgeräts und/oder nach Ablauf einer vorbestimmten Zeitdauer seit Start der Bediensitzung und/oder nach Übertragung einer Information zur expliziten Beendigung der Bediensitzung und/oder nach Auftreten eines Fehlerzustandes in dem Feldmessgerät und/oder nach Entfernung des Freigabe-Beeinflussungselements. Die verschiedenen Kriterien können in dem Verfahren separat für sich oder auch in Kombination implementiert sein.
-
Bei einer weiteren Ausgestaltung des Verfahrens und des Feldmessgeräts ist vorgesehen, dass in dem Freigabe-Beeinflussungselement mehrere private Schlüssel hinterlegt sind und sich das Freigabe-Beeinflussungselement mittels einer Public-Key Authentifizierung gegenüber dem Feldmessgerät authentisiert, indem Identifikationsdaten des Feldmessgeräts an das Freigabe-Beeinflussungselement übertragen werden, das Freigabe-Beeinflussungselement auf Grundlage der Identifikationsdaten einen geeigneten privaten Schlüssel auswählt und das Freigabe-Beeinflussungselement sich mit dem ausgewählten geeigneten privaten Schlüssel gegenüber dem Feldmessgerät authentisiert. Diese Variante ermöglicht die zielgerichtete Auswahl eines im Freigabe-Beeinflussungselement hinterlegten privaten Schlüssels aus einer Vielzahl von privaten Schlüsseln, wenn eine Verbindung zu einem bestimmten Feldmessgerät aufgenommen wird. Dadurch ist es möglich, eine sichere Kommunikation mit einer Vielzahl von verschiedenen Feldmessgeräten aufzunehmen, auch wenn diese mit ganz unterschiedlichen asymmetrischen Schlüsselpaaren bzw. den entsprechenden öffentlichen Schlüsseln ausgestattet sind.
-
Bei einer Variante des beanspruchten Verfahrens zur sicheren Kommunikation mit einem Feldmessgerät und bei einer Variante des entsprechenden Feldmessgerätes wird der Authentifizierungsvorgang ausgelöst durch eine entsprechende Eingabe an einer Bedieneinheit des Feldmessgeräts.
-
Vorzugsweise gestattet ein in dem Feldmessgerät hinterlegter Rechteumfang das Zugriffsrecht auf eine Gruppe der folgenden informationstechnischen Inhalte: Parameter für die Darstellung von Daten ohne Einfluss auf messtechnische Funktionen, Parameter für die Inbetriebnahme messtechnischer Funktionen, Parameter für die Kalibrierung des Feldmessgeräts, Parameter für Sonderfunktionen und Service, Parameter für die Freischaltung von Sonderfunktionen.
-
Das Feldmessgerät ist vorzugsweise so ausgebildet, dass der Sensor, die Auswerteeinheit, die Feldbusschnittstelle, die Kommunikationsschnittstelle und das Freigabe-Sensorelement in einem Gehäuse angeordnet sind und zur Kontaktaufnahme des Freigabe-Beeinflussungselements mit dem Freigabe-Sensorelement das Freigabe-Beeinflussungselement und das Freigabe-Sensorelement so aufeinander abgestimmt sind, dass das Freigabe-Beeinflussungselement von außerhalb des Gehäuses unter eine bestimmte Freigabedistanz an das Gehäuse angenähert sein muss, oder dass das Freigabe-Beeinflussungselement auf eine bestimmte Stelle des Gehäuses aufgelegt sein muss oder dass das Freigabe-Beeinflussungselement in eine im Gehäuse angeordnete Freigabe-Schnittstelle eingesteckt sein muss.
-
Eine Weiterbildung des Feldmessgeräts zeichnet sich dadurch aus, dass das Gehäuse eine Aufnahme für das als RFID-Transponder ausgestaltete Freigabe-Beeinflussungselement aufweist, wobei die Aufnahme mit einem an die Aufnahme angepassten elektromagnetischen Abschirmelement so verdeckbar ist, dass auch bei aufgenommenem Freigabe-Beeinflussungselement keine elektromagnetische Strahlung in den Außenbereich des Gehäuses mit appliziertem elektromagnetischen Abschirmelement dringt.
-
Eine alternative Weiterbildung des Feldmessgeräts zeichnet sich dadurch aus, dass die Freigabe-Schnittstelle eine schlitzförmige Aufnahme im Gehäuse für das als RFID-Transponder ausgestaltete Freigabe-Beeinflussungselement ist, wobei die schlitzförmige Aufnahme als elektromagnetische Abschirmung wirkt, so dass bei aufgenommenem Freigabe-Beeinflussungselement keine elektromagnetische Strahlung in den Außenbereich des Gehäuses dringt. Wenn es heißt, dass keine elektromagnetische Strahlung in den Außenbereich des Gehäuses dringt, dann ist damit gemeint, dass eine möglicherweise in den Außenbereich des Gehäuses dringende elektromagnetische Strahlung jedenfalls so weit gedämpft oder verzerrt ist, dass sie nicht dazu geeignet ist, von außerhalb des Gehäuses abgehört zu werden.
-
Bei einer weiteren Ausgestaltung des Feldmessgeräts ist vorgesehen, dass in dem Gehäuse ein Überwachungsmittel angeordnet ist, mit dem die richtige Applikation des elektromagnetischen Abschirmelements an der Aufnahme festgestellt wird, insbesondere wobei erst bei durch das Überwachungselement festgestellter richtiger Applikation des elektromagnetischen Abschirmelements an der Aufnahme das RFID-Lesegerät und/oder der RFID-Transponder aktiviert wird. Die Feststellung der richtigen Anbringung oder Applikation des elektromagnetischen Abschirmelements kann beispielsweise durch einfache Maßnahmen realisiert werden, wie z. B. das Betätigen eines elektrischen Kontaktes oder die Messung eines Widerstandes. Wenn mit größerer Sicherheit die richtige Applikation der Abschirmung festgestellt werden soll, kann beispielsweise auch das elektromagnetischen Abschirmelement mit einem RFID-Transponder versehen sein, der von dem Feldmessgerät ausgelesen wird, so dass mit sehr hoher Wahrscheinlichkeit die Applikation des richtigen elektromagnetischen Abschirmelements gewährleistet werden kann.
-
Im Einzelnen gibt es nun eine Vielzahl von Möglichkeiten, das erfindungsgemäße Verfahren zur sicheren Kommunikation mit einem Feldmessgerät und das entsprechende Feldmessgerät auszugestalten. Entsprechende Weiterbildungen sind Gegenstand der Unteransprüche und werden nachfolgend anhand von dargestellten Ausführungsbeispielen beschrieben. In der Zeichnung zeigen:
- 1 eine schematische Darstellung eines Feldmessgeräts der Prozesstechnik im Kontext eines industriellen Prozesses sowie schematisch ein Verfahren zur sicheren Kommunikation mit dem Feldmessgerät,
- 2 eine Ausgestaltung des erfindungsgemäßen Verfahrens zur sicheren Kommunikation mit einem Feldmessgerät sowie ein dazu ausgestaltetes Feldmessgerät,
- 3 eine weitere Ausgestaltung eines erfindungsgemäßen Verfahrens zur sicheren Kommunikation mit einem Feldmessgerät sowie ein ebensolches Feldmessgerät, das mit einem externen Kommunikationsmittel kommuniziert,
- 4 eine Mehrzahl an erfindungsgemäßen Feldmessgeräten mit übereinstimmenden Rechteumfängen und öffentlichen Schlüsseln,
- 5 ein erfindungsgemäßes Feldmessgerät, bei dem das Freigabe-Beeinflussungselement in eine im Gehäuse angeordnete Freigabe-Schnittstelle eingebracht wird,
- 6 ein erfindungsgemäßes Feldmessgerät mit einem elektromagnetischen Abschirmelement und
- 7 ein erfindungsgemäßes Feldmessgerät mit einer schlitzförmigen Aufnahme für das Freigabe-Beeinflussungselement.
-
In den Figuren ist jeweils ganz schematisch dargestellt ein Verfahren 1 zur Kommunikation mit einem Feldmessgerät 2 der Prozessmesstechnik. Das Feldmessgerät 2 weist, wie in 1 dargestellt, einen Sensor 3 auf, mit dem eine Prozessgröße messtechnisch erfasst wird. Beispiele für Sensoren 3 sind Durchflusssensoren nach verschiedenen Messprinzipien, Temperatursensoren, Abstandssensoren auf Radarbasis, pH-Sensoren im Analysebereich usw.
-
Das Feldmessgerät 2 weist darüber hinaus eine Auswerteeinheit 4, eine Feldbusschnittstelle 5 und eine Kommunikationsschnittstelle 6 auf. Die Auswerteeinheit 4 dient der Erfassung und Weiterverarbeitung der von dem Sensor 3 gelieferten Rohmessdaten. Über die Feldbusschnittstelle 5 werden die von dem Feldmessgerät erfassten Messdaten an andere Busteilnehmer weitergeleitet, bei denen es sich beispielsweise um andere Feldmessgeräte 8 oder auch um ein Prozessleitsystem 9 handelt. Die Feldbusschnittstelle 5 ist also essenziell für das bestimmungsgemäße Funktionieren - Ermittlung und Mitteilung von Messdaten - des Feldmessgeräts.
-
Die Auswerteeinheit 4 dient auch der nachgelagerten Auswertung der über die Kommunikationsschnittstelle 6 übermittelten Daten mit externen Kommunikationsmitteln 10, die hier dargestellt sind als ein Handbediengerät wie z. B. ein Smartphone oder ein Tablet und als ein Rechnerarbeitsplatz basierend auf einem Personalcomputer.
-
Die Kommunikationsschnittstelle 6 dient hier in erster Linie der Konfiguration, der Diagnose und Wartung des Feldmessgeräts 2 durch das externe Kommunikationsmittel 10.
-
Die Feldbusschnittstelle 5 ist im vorliegenden Fall eine Zwei-Leiter-Schnittstelle in Form einer 4-20 mA Stromschleife. Wie bereits erwähnt, dienen diese Feldbusschnittstellen im Wesentlichen der Übermittlung der von dem Feldmessgerät 2 erfassten und bereitgestellten Messdaten an andere Busteilnehmer 8 und an ein Prozessleitsystem 9. Aufgrund der nur relativ geringen erzielbaren Übertragungsraten eignen sich derartige Feldbusschnittstellen 5 nicht sinnvoll zur Konfiguration, Diagnose und Wartung des Feldmessgeräts 2. Eine derartige Funktionalität ist über die Feldbusschnittstelle 5 im Regelfall aus Sicherheitsgründen auch nicht erwünscht, denn die von Feldmessgeräten 2 übermittelten Messdaten haben häufig unmittelbare Auswirkung auf die Steuerung eines industriellen Prozesses, weshalb auf jeden Fall eine unbefugte Beeinflussung des Feldmessgeräts 2 verhindert werden soll, was beispielsweise auch dann gewährleistet ist, wenn die Feldbusschnittstelle 5 überhaupt nicht vorsieht, von extern Daten zu erhalten und diese auch für eine interne Konfiguration auszuwerten. Aus den dargestellten Gründen ist nun ein besonderes Augenmerk auf eine sichere Kommunikation mit dem Feldmessgerät 2 über die Kommunikationsschnittstelle 6 zu richten.
-
Über die Kommunikationsschnittstelle 6 kann von extern auf informationstechnische Inhalte Pi, Fi des Feldmessgeräts 2 zugegriffen werden. Bei den informationstechnischen Inhalten des Feldmessgeräts 2 kann es sich sowohl um reine Daten/Parameter Pi handeln, wie auch um Funktionalitäten Fi. Damit der Zugriff von extern den hohen Sicherheitsanforderungen an industrielle Prozessmesstechnik genügt, ist das im Detail in den 2 und 3 dargestellte Verfahren 1 zur sicheren Kommunikation mit dem Feldmessgerät 2 in besonderer Weise ausgestaltet.
-
Damit das angesprochene Verfahren 1 ausgeführt werden kann und damit das dargestellte Feldmessgerät 2 bestimmungsgemäß funktionieren kann, ist das Feldmessgerät 2 zunächst mit einem Freigabe-Sensorelement 7 ausgestattet, das mit einem Freigabe-Beeinflussungselement 11 in der nachfolgend beschriebenen Art und und Weise zusammenwirkt. Das Freigabe-Sensorelement 7 ist vorliegend als RFID-Lesegerät und das Freigabe-Beeinflussungselement 11 als passiver RFID-Transponder ausgestaltet.
-
Bei dem Verfahren 1 zur sicheren Kommunikation mit dem Feldmessgerät 2 ist zunächst vorgesehen, dass in dem Feldmessgerät 2 eine Mehrzahl an Rechteumfängen R1, R2, Ri, Rn hinterlegt wird 100, wobei jeder Rechteumfang Ri definiert, in welchem Umfang auf die informationstechnischen Inhalte Pi, Fi des Feldmessgeräts zugegriffen werden kann. Dies ist in 2 in Form einer Tabelle dargestellt. Der Rechteumfang R1 gestattet beispielsweise den lesenden Zugriff r auf den Parameter P1 und die Nutzung der Funktionalität F1. Der Rechteumfang R2 gestattet den schreibenden Zugriff w auf den Parameter P1 und einen lesenden Zugriff auf die Paramter P2 und P3 sowie die Nutzung der Funktionalitäten F1 und F2. Der Rechteumfang R3 gestattet den vollen Zugriff auf die Parameter P1 und P2 sowie das dauerhafte Aktivieren a der Funktionalität Fn; dabei kann es sich beispielsweise um das Freischalten einer nachträglich erworbenen Messgerätefunktionalität handeln.
-
In dem Feldmessgerät 2 wird darüber hinaus eine Mehrzahl öffentlicher Schlüssel PUi (Public Key) einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare PUi, PRi gespeichert 101 und jedem öffentlichen Schlüssel PUi wird ein Rechteumfang Ri zugeordnet 102. In der Darstellung gemäß 2 sind dem öffentlichen Schlüssel PU1 die Rechteumfänge R1, R2 zugeordnet, dem öffentlichen Schlüssel PU2 ist der Rechteumfang R1 zugeordnet und dem öffentlichen Schlüssel PUn ist der Rechteumfang R3 zugeordnet worden 102. Ferner wird in dem Freigabe-Beeinflussungselement 11 wenigstens ein privater Schlüssel PRi (Private Key) der korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare PUi, PRi gespeichert 103. Im vorliegenden Fall sind in 2 insgesamt drei Freigabe-Beeinflussungselemente 11 dargestellt, wobei das erste Freigabe-Beeinflussungselement 11 den privaten Schlüssel PR1 aufweist, das zweite Freigabe-Beeinflussungselement 11 den privaten Schlüssel PRi aufweist und das dritte Freigabe-Beeinflussungselement 11 sämtliche privaten Schlüssel PR1 bis PRn aufweist.
-
In 3 ist der weitere Verlauf der sicheren Kommunikation zwischen dem Feldmessgerät 2 und dem externen Kommunikationsmittel 10 dargestellt. Bei Kontaktaufnahme 104 des Freigabe-Beeinflussungselements 11 mit dem Freigabe-Sensorelement 7 authentisiert sich 105 das Freigabe-Beeinflussungselement 11 mittels einer Public-Key Authentifizierung mit dem gespeicherten privaten Schlüssel PRi gegenüber dem Feldmessgerät 2 bzw. gegenüber dem Freigabe-Sensorelement 7. Dazu kann das Freigabe-Beeinflussungselement 11 beispielsweise eine unverschlüsselte aber signierte Information an das Feldmessgerät 2 senden, es kann aber auch beispielsweise eine Zufallszahl von dem Feldmessgerät 2 erhalten, diese mit seinem privaten Schlüssel PRi verschlüsseln und wieder an das Feldmessgerät 2 bzw. an das Freigabe-Sensorelement 7 zurücksenden.
-
Das Feldmessgerät authentifiziert 106 daraufhin das Freigabe-Beeinflussungselement 11 unter Verwendung eines geeigneten und im Feldmessgerät 2 gespeicherten öffentlichen Schlüssels PUi. Im Falle des von dem Freigabe-Beeinflussungselement 11 zurückgeschickten, verschlüsselten Zufallswertes entschlüsselt das Feldmessgerät 2 mit seinem geeigneten öffentlichen Schlüssel PUi den verschlüsselten Zufallswert, wobei die Authentifizierung 106 gelungen ist, wenn der gesendete Zufallswert und der empfangene, entschlüsselte Zufallswert identisch sind. Voraussetzung ist in diesem Fall, dass die aufeinanderfolgende Anwendung des öffentlichen Schlüssels PUi und des privaten Schlüssels PRi kommutativ ist.
-
Nach erfolgreicher Authentifizierung 106 eröffnet das Feldmessgerät 2 eine Bediensitzung 107, d. h. es ist nun eine sichere Kommunikation zwischen dem Feldmessgerät 2 und dem externen Kommunikationsmittel 10 möglich, jedenfalls insoweit sicher, als dass das Freigabe-Beeinflussungselement 11 sicher erkannt worden ist. Das Feldmessgerät 2 gewährt dem externen Kommunikationsmittel 6 dann Zugriff 108 auf seine informationstechnischen Inhalte Pi, Fi und zwar genau in dem Rechteumfang Ri des öffentlichen Schlüssels PUi, der dem geeigneten privaten Schlüssel PRi entspricht. Zur Veranschaulichung dieses Sachverhalts ist in dem externen Kommunikationsmittel 10 in 3 der Rechteumfang Ri dargestellt, mit dem es nun möglich ist, den Parameter Pi zu beeinflussen und die Funktion Fi im Feldmessgerät aufzurufen (do(Fi)), der Parameter Pi und die Funktion Fi sind aber nicht im externen Kommunikationsmittel 10 lokalisiert.
-
In den beiden Ausführungsbeispielen in 1 wird ein Kontakt zwischen dem Feldmessgerät 2 und dem Smartphone als externes Kommunikationsmittel 10 hergestellt mittels einer in Bluetooth-Technologie ausgeführte Kommunikationsschnittstelle 6. Die Verbindung zwischen dem Feldmessgerät 2 und dem Personalcomputer als externes Kommunikationsmittel 10 geschieht hingegen über eine als Ethernet-Schnittstelle ausgebildete Kommunikationsschnittstelle 6.
-
4 zeigt eine Ausgestaltung des Verfahrens 1, bei dem in einer Mehrzahl an Feldmessgeräten 2 dieselben Rechteumfänge Ri hinterlegt werden und dieselben öffentlichen Schlüssel PUi einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare PUi, PRi gespeichert werden. Dadurch ist ein sehr einfacher Zugriff auf eine Mehrzahl an Feldmessgeräten 2 möglich, ohne dass eine Vielzahl verschiedener asymmetrischer Schlüsselpaare PUi, PRi verteilt werden müsste. Im dargestellten Ausführungsbeispiel gehört die Mehrzahl an Feldmessgeräten 2 zu der Messegerätegruppe eines Anlagenteils einer industriellen Anlage.
-
Den in 4 ebenfalls dargestellten Freigabe-Beeinflussungselementen 11 ist es möglich, mit nur einem privaten Schlüssel PR1 bzw. PR2 nach erfolgreicher Public-Key-Authentifizierung alle Feldmessgeräte 2 gemäß des jeweiligen Rechteumfangs für die Kommunikation mit einem externen Kommunikationsmittel (in 4 nicht dargestellt) freizuschalten.
-
Der Vollständigkeit halber wird darauf hingewiesen, dass die Figuren natürlich nicht nur ein Verfahren 1 zur sicheren Kommunikation mit einem Feldmessgerät 2 der Prozessmesstechnik zeigen, sondern auch ein entsprechendes Feldmessgerät 2 der Prozessmesstechnik mit einem Sensor 3, einer Auswerteeinheit 4, einer Feldbusschnittstelle 5, einer Kommunikationsschnittstelle 6 und einem Freigabe-Sensorelement 7. Von dem Feldmessgerät 2 erfasste und bereitgestellte Messdaten werden über die Feldbusschnittstelle 5 an andere Busteilnehmer 8, 9 übermittelt. Ein externes Kommunikationsmittel 10 greift über die Kommunikationsschnittstelle 6 von extern auf von den Messdaten verschiedene informationstechnische Inhalte Pi, Fi des Feldmessgeräts 2 zu. Eine sichere Kommunikation wird dadurch gewährleistet, dass in dem Feldmessgerät 2 eine Mehrzahl an Rechteumfängen Ri hinterlegt ist, wobei jeder Rechteumfang Ri definiert, in welchem Umfang auf die informationstechnischen Inhalte Pi, Fi des Feldmessgeräts 2 zugegriffen werden kann.
-
In dem Feldmessgerät 2 ist ferner eine Mehrzahl öffentlicher Schlüssel PUi einer korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare PUi, PRi gespeichert und jedem öffentlichen Schlüssel PUi ist ein Rechteumfang Ri zugeordnet, wobei in dem Freigabe-Beeinflussungselement 11 wenigstens ein privater Schlüssel PRi der korrespondierenden Mehrzahl asymmetrischer Schlüsselpaare (PUi, PRi) gespeichert ist.
-
Bei Kontaktaufnahme des Freigabe-Beeinflussungselements 11 mit dem Freigabe-Sensorelement 7 authentisiert sich das Freigabe-Beeinflussungselement 11 mittels einer Public-Key Authentifizierung mit dem gespeicherten privaten Schlüssel PRi gegenüber dem Feldmessgerät 2. Das Feldmessgerät 2 authentifiziert das Freigabe-Beeinflussungselement 11 unter Verwendung eines geeigneten und im Feldmessgerät 2 gespeicherten öffentlichen Schlüssels (PUi). Nach erfolgreicher Authentifizierung eröffnet das Feldmessgerät 2 eine Bediensitzung, in der dem externen Kommunikationsmittel 10 Zugriff auf die informationstechnischen Inhalte Pi, Fi des Feldmessgeräts 2 gewährt wird, und zwar in dem Rechteumfang Ri des öffentlichen Schlüssels PUi, der dem geeigneten privaten Schlüssel (PRi) des Freigabe-Beeinflussungselements 11 entspricht.
-
Wie bereits in 1 gezeigt ist, weist das Feldmessgerät 2 ein Gehäuse 12 auf, in dem der Sensor 3, die Auswerteeinheit 4, die Feldbusschnittstelle 5, die Kommunikationsschnittstelle 6 und das Freigabe-Sensorelement 7 angeordnet sind. Zur Kontaktaufnahme des Freigabe-Beeinflussungselements 11 mit dem Freigabe-Sensorelement 7 sind das Freigabe-Beeinflussungselement 11 und das Freigabe-Sensorelement 7 so aufeinander abgestimmt, dass das Freigabe-Beeinflussungselement 11 von außerhalb des Gehäuses 12 unter eine bestimmte Freigabedistanz an das Gehäuse angenähert werden muss. Die Position des Freigabe-Beeinflussungselements 11 in 1 zeigt den Beginn der bestimmten Freigabedistanz an. Wird das Freigabe-Beeinflussungselement 11 weiter von dem Gehäuse 12 entfernt, ist eine Kontaktaufnahme nicht möglich.
-
Die Freigabedistanz kann so eng bemessen werden, dass das Freigabe-Beeinflussungselement 11 auf eine bestimmte Stelle des Gehäuses 12 aufgelegt werden muss, damit eine Kontaktaufnahme mit dem Freigabe-Sensorelement 7 möglich ist. Bei einem bevorzugten Ausführungsbeispiel wird das Auflegen des Freigabe-Beeinflussungselements 11 auf das Gehäuse 12 zusätzlich kapazitiv überwacht.
-
5 zeigt eine Variante, bei der das Freigabe-Beeinflussungselement 11 in eine im Gehäuse 12 angeordnete Freigabe-Schnittstelle 13 eingebracht werden muss. Das Freigabe-Beeinflussungselement 11 ist im dargestellten Beispiel als USB-Gerät ausgestaltet.
-
6 zeigt schematisch das Feldmessgerät 2, bei dem das Gehäuse 12 eine Aufnahme 14 für das als RFID-Transponder ausgestaltete Freigabe-Beeinflussungselement 11 aufweist, wobei die Aufnahme 14 mit einem an die Aufnahme 14 angepassten elektromagnetischen Abschirmelement 15 so verdeckbar ist, dass auch bei aufgenommenem Freigabe-Beeinflussungselement 11 keine elektromagnetische Strahlung in den Außenbereich des Gehäuses mit appliziertem elektromagnetischen Abschirmelement 14 dringt. Dadurch wird verhindert, dass die Authentifizierung des Freigabe-Beeinflussungselements 11 abgehört werden kann. Das elektromagnetische Abschirmelement 15 ist hier als umlaufende Haube realisiert, die in die Aufnahme 14 eingesetzt wird. Damit eine Abschirmwirkung eintritt, ist das elektromagnetische Abschirmelement 15 entweder ganz aus elektrisch leitfähigem Material gefertigt oder zumindest elektrisch leitfähig beschichtet.
-
In 6 ist ferner dargestellt, dass in dem Gehäuse 12 ein Überwachungsmittel 16 angeordnet ist, mit dem die richtige Applikation des elektromagnetischen Abschirmelements 15 an der Aufnahme 14 festgestellt wird. Hier ist das Überwachungsmittel 16 ein Taster. Die Überwachung wirkt sich derart aus, dass erst bei durch das Überwachungsmittel 16 festgestellter richtiger Applikation des elektromagnetischen Abschirmelements 15 an der Aufnahme 14 das RFID-Lesegerät aktiviert wird.
-
Bei dem Feldmessgerät 2 gemäß 7 ist die Freigabe-Schnittstelle 12 eine schlitzförmige Aufnahme im Gehäuse 12 für das als RFID-Transponder ausgestaltete Freigabe-Beeinflussungselement 11, wobei die die schlitzförmige Aufnahme umgebende Gehäusewandung als elektromagnetische Abschirmung wirkt, sodass bei aufgenommenem Freigabe-Beeinflussungselement 11 keine elektromagnetische Strahlung in den Außenbereich des Gehäuses 12 dringt.
-
Bezugszeichenliste
-
- 1
- Verfahren
- 2
- Feldmessgerät
- 3
- Sensor
- 4
- Auswerteeinheit
- 5
- Feldbusschnittstelle
- 6
- Kommunikationsschnittstelle
- 7
- Freigabe-Sensorelement
- 8
- Busteilnehmer/Feldmessgerät
- 9
- Busteilnehmer/Prozessleitsystem
- 10
- externes Kommunikationsmittel
- 11
- Freigabe-Beeinflussungselement
- 12
- Gehäuse
- 13
- Freigabe-Schnittstelle
- 14
- Aufnahme
- 15
- elektromagnetisches Abschirmelement
- 16
- Überwachungsmittel
- 100
- Abspeichern von Rechteumfängen
- 101
- Abspeichern von öffentlichen Schlüsseln
- 102
- Zuordnen von Rechteumfängen zu öffentlichen Schlüsseln
- 103
- Abspeichern von privaten Schlüsseln
- 104
- Kontaktaufnahme
- 105
- Authentisierung
- 106
- Authentifizierung
- 107
- Bediensitzung eröffnen
- 108
- Zugriffgewährung
- Pi, Fi
- informationstechnische Inhalte (Daten und Funktionalitäten)
- Ri
- Rechteumfang
- PUi
- öffentlicher Schlüssel
- PRi
- privater Schlüssel
